Yango-saken sto for nesten halvparten av totalen

Den største enkeltsaken kom fra Nederland. Det nederlandske datatilsynet ila MLU B.V., det europeiske selskapet bak taxiappen Yango, en bot på 100 millioner euro. Myndighetene mente at selskapet ikke hadde tilstrekkelige garantier for overføring av personopplysninger til Russland, og påla selskapet å stanse overføringer som ikke oppfylte kravene i GDPR.

Saken viser at internasjonale dataoverføringer krever mer enn at det finnes en formell kontrakt på plass. Virksomheter må vurdere om mottakerlandet og de faktiske forholdene rundt overføringen gir et beskyttelsesnivå som i praksis tilsvarer kravene i europeisk personvernlovgivning. Det nederlandske vedtaket var knyttet til mangelfulle garantier ved overføring til et tredjeland.

Yango-boten utgjorde omtrent 44 prosent av alle GDPR-bøtene i andre kvartal. Det forklarer mye av det kraftige hoppet – og illustrerer samtidig hvorfor grensekryssende dataflyt bør behandles som en økonomisk og operasjonell risiko, ikke bare som et juridisk spørsmål.

Frankrike, Italia og Storbritannia fulgte etter

Flere andre store saker bidro til kvartalets samlede bøtenivå:

• Frankrike: Telekomaktørene Free Mobile og Free fikk til sammen 42 millioner euro i bøter. Av dette gjaldt 27 millioner euro Free Mobile, i saker knyttet til mangelfull sikkerhet rundt abonnentopplysninger.
• Italia: Intesa Sanpaolo fikk en bot på 31,8 millioner euro for mangler ved beskyttelsen av kundenes bankopplysninger.
• Storbritannia: Det britiske Information Commissioner's Office (ICO) ila Reddit en bot på 14,47 millioner pund etter å ha konkludert med at selskapet brukte barns personopplysninger ulovlig og ikke hadde robuste nok alderskontroller. Reddit har anket boten.

Reddit-saken viser at barns personvern fortsatt er et område med høy håndhevingsrisiko. Alderskontroll, lovlig behandling av barns opplysninger og tiltak for å begrense forutsigbar skade kan alle bli sentrale i tilsynsmyndighetenes vurdering.

Dette er GDPR-bruddene myndighetene følger tettest

Bøtene i andre kvartal fordelte seg på flere typer brudd. De viktigste mønstrene var følgende:

Mangelfulle sikkerhetstiltak

Sikkerhetssvikt gikk igjen i flere av de største sakene, blant annet botene mot de franske telekomselskapene og den italienske banken. Virksomheter som håndterer store mengder kundeinformasjon, må ha tekniske og organisatoriske tiltak som står i forhold til opplysningenes sensitivitet, behandlingsvolumet og den faktiske risikoen.

Det er ikke nok å ha gode rutiner på papiret. Tilgangsstyring, autentisering, overvåking, lagringstid, hendelseshåndtering og leverandøroppfølging må også fungere i praksis.

Behandling uten tilstrekkelig rettslig grunnlag

Manglende eller utilstrekkelig behandlingsgrunnlag er fortsatt blant de vanligste årsakene til betydelige GDPR-bøter, ifølge sammendraget i CMS' GDPR Enforcement Tracker. Selskaper bør kunne knytte hver vesentlige behandlingsaktivitet til et dokumentert grunnlag – og vise at grunnlaget faktisk samsvarer med det virksomheten gjør.

Svake garantier ved overføring til tredjeland

Yango-saken plasserer dataoverføring til land utenfor EØS blant de tydeligste høyrisiko-områdene i andre kvartal. En vurdering bør omfatte den faktiske dataflyten, hvem som mottar opplysningene, myndighetstilgang i mottakerlandet og om eventuelle tilleggstiltak virker etter hensikten. Det er ikke tilstrekkelig å kontrollere at standarddokumentene er signert.

Mangelfullt vern av barn

ICO-vedtaket mot Reddit understreker behovet for aldersriktig utforming av tjenester, pålitelige alderskontroller og en tydelig, dokumenterbar vurdering av hvordan barns personopplysninger brukes.

Medie- og finansbransjen er særlig eksponert

Medie- og finansselskaper sto for seks av de ti største bøtene i andre kvartal, ifølge Finbolds oversikt. Teknologi, telekom og andre forbrukerrettede bransjer kan også være utsatt fordi de ofte behandler personopplysninger i stort omfang eller gjennom komplekse, sammenkoblede systemer.

Det betyr ikke at alle selskaper i disse bransjene har samme risikonivå. De største eksponeringene oppstår gjerne når høy datamengde kombineres med atferdsprofilering, sensitive opplysninger, store brukerbaser, grensekryssende infrastruktur eller kompliserte leverandørkjeder.

Fem prioriteringer for selskaper som opererer i Europa

Utviklingen i andre kvartal peker på fem konkrete tiltak:

1. Kartlegg behandlingen og behandlingsgrunnlaget. Ha en oppdatert oversikt over hvilke opplysninger som samles inn, hvorfor de behandles, hvem som mottar dem og hvilket rettslig grunnlag som gjelder.
2. Test sikkerhetstiltakene mot reell risiko. Gå gjennom tilgangsstyring, autentisering, overvåking, lagring, beredskap og leverandørkontroller – ikke bare interne retningslinjer.
3. Styrk vernet av barns opplysninger. Der barn kan bruke en tjeneste, bør alderskontroll, samtykke, risikovurdering og aldersriktig utforming inngå i produkt- og etterlevelsesarbeidet.
4. Vurder internasjonale overføringer på nytt. Dokumenter overføringsvurderinger, avklar rollene til alle mottakere og innfør tilleggstiltak når kontraktsvilkår alene ikke er nok.
5. Løft høyrisikobehandling til ledelsen. Størrelsen på de største bøtene viser at personvernstyring er et økonomisk og operasjonelt ansvar – ikke bare en juridisk sjekkliste.

Hovedbudskapet fra andre kvartal

Summen på 225,9 millioner euro viser hvor raskt ett stort vedtak kan endre bildet for et helt kvartal. Yango-boten utgjorde nesten halvparten av totalen, mens sakene mot telekom- og finansselskaper samt Reddit viser at myndighetene undersøker både grunnleggende sikkerhet og om personopplysninger i det hele tatt brukes på lovlig vis.

For selskaper som driver virksomhet i Europa, er lærdommen klar: GDPR må inngå i den overordnede risikostyringen. Behandlingsgrunnlag, informasjonssikkerhet, barns personvern og overføring av data til tredjeland bør testes jevnlig – og støttes av dokumentasjon som tåler kontroll fra tilsynsmyndighetene.

Yango-saken sto for nesten halvparten av totalen

Den største enkeltsaken kom fra Nederland. Det nederlandske datatilsynet ila MLU B.V., det europeiske selskapet bak taxiappen Yango, en bot på 100 millioner euro. Myndighetene mente at selskapet ikke hadde tilstrekkelige garantier for overføring av personopplysninger til Russland, og påla selskapet å stanse overføringer som ikke oppfylte kravene i GDPR.

Saken viser at internasjonale dataoverføringer krever mer enn at det finnes en formell kontrakt på plass. Virksomheter må vurdere om mottakerlandet og de faktiske forholdene rundt overføringen gir et beskyttelsesnivå som i praksis tilsvarer kravene i europeisk personvernlovgivning. Det nederlandske vedtaket var knyttet til mangelfulle garantier ved overføring til et tredjeland.

Yango-boten utgjorde omtrent 44 prosent av alle GDPR-bøtene i andre kvartal. Det forklarer mye av det kraftige hoppet – og illustrerer samtidig hvorfor grensekryssende dataflyt bør behandles som en økonomisk og operasjonell risiko, ikke bare som et juridisk spørsmål.

Frankrike, Italia og Storbritannia fulgte etter

Flere andre store saker bidro til kvartalets samlede bøtenivå:

• Frankrike: Telekomaktørene Free Mobile og Free fikk til sammen 42 millioner euro i bøter. Av dette gjaldt 27 millioner euro Free Mobile, i saker knyttet til mangelfull sikkerhet rundt abonnentopplysninger.
• Italia: Intesa Sanpaolo fikk en bot på 31,8 millioner euro for mangler ved beskyttelsen av kundenes bankopplysninger.
• Storbritannia: Det britiske Information Commissioner's Office (ICO) ila Reddit en bot på 14,47 millioner pund etter å ha konkludert med at selskapet brukte barns personopplysninger ulovlig og ikke hadde robuste nok alderskontroller. Reddit har anket boten.

Reddit-saken viser at barns personvern fortsatt er et område med høy håndhevingsrisiko. Alderskontroll, lovlig behandling av barns opplysninger og tiltak for å begrense forutsigbar skade kan alle bli sentrale i tilsynsmyndighetenes vurdering.

Dette er GDPR-bruddene myndighetene følger tettest

Bøtene i andre kvartal fordelte seg på flere typer brudd. De viktigste mønstrene var følgende:

Mangelfulle sikkerhetstiltak

Sikkerhetssvikt gikk igjen i flere av de største sakene, blant annet botene mot de franske telekomselskapene og den italienske banken. Virksomheter som håndterer store mengder kundeinformasjon, må ha tekniske og organisatoriske tiltak som står i forhold til opplysningenes sensitivitet, behandlingsvolumet og den faktiske risikoen.

Det er ikke nok å ha gode rutiner på papiret. Tilgangsstyring, autentisering, overvåking, lagringstid, hendelseshåndtering og leverandøroppfølging må også fungere i praksis.

Behandling uten tilstrekkelig rettslig grunnlag

Manglende eller utilstrekkelig behandlingsgrunnlag er fortsatt blant de vanligste årsakene til betydelige GDPR-bøter, ifølge sammendraget i CMS' GDPR Enforcement Tracker. Selskaper bør kunne knytte hver vesentlige behandlingsaktivitet til et dokumentert grunnlag – og vise at grunnlaget faktisk samsvarer med det virksomheten gjør.

Svake garantier ved overføring til tredjeland

Yango-saken plasserer dataoverføring til land utenfor EØS blant de tydeligste høyrisiko-områdene i andre kvartal. En vurdering bør omfatte den faktiske dataflyten, hvem som mottar opplysningene, myndighetstilgang i mottakerlandet og om eventuelle tilleggstiltak virker etter hensikten. Det er ikke tilstrekkelig å kontrollere at standarddokumentene er signert.

Mangelfullt vern av barn

ICO-vedtaket mot Reddit understreker behovet for aldersriktig utforming av tjenester, pålitelige alderskontroller og en tydelig, dokumenterbar vurdering av hvordan barns personopplysninger brukes.

Medie- og finansbransjen er særlig eksponert

Medie- og finansselskaper sto for seks av de ti største bøtene i andre kvartal, ifølge Finbolds oversikt. Teknologi, telekom og andre forbrukerrettede bransjer kan også være utsatt fordi de ofte behandler personopplysninger i stort omfang eller gjennom komplekse, sammenkoblede systemer.

Det betyr ikke at alle selskaper i disse bransjene har samme risikonivå. De største eksponeringene oppstår gjerne når høy datamengde kombineres med atferdsprofilering, sensitive opplysninger, store brukerbaser, grensekryssende infrastruktur eller kompliserte leverandørkjeder.

Fem prioriteringer for selskaper som opererer i Europa

Utviklingen i andre kvartal peker på fem konkrete tiltak:

1. Kartlegg behandlingen og behandlingsgrunnlaget. Ha en oppdatert oversikt over hvilke opplysninger som samles inn, hvorfor de behandles, hvem som mottar dem og hvilket rettslig grunnlag som gjelder.
2. Test sikkerhetstiltakene mot reell risiko. Gå gjennom tilgangsstyring, autentisering, overvåking, lagring, beredskap og leverandørkontroller – ikke bare interne retningslinjer.
3. Styrk vernet av barns opplysninger. Der barn kan bruke en tjeneste, bør alderskontroll, samtykke, risikovurdering og aldersriktig utforming inngå i produkt- og etterlevelsesarbeidet.
4. Vurder internasjonale overføringer på nytt. Dokumenter overføringsvurderinger, avklar rollene til alle mottakere og innfør tilleggstiltak når kontraktsvilkår alene ikke er nok.
5. Løft høyrisikobehandling til ledelsen. Størrelsen på de største bøtene viser at personvernstyring er et økonomisk og operasjonelt ansvar – ikke bare en juridisk sjekkliste.

Hovedbudskapet fra andre kvartal

Summen på 225,9 millioner euro viser hvor raskt ett stort vedtak kan endre bildet for et helt kvartal. Yango-boten utgjorde nesten halvparten av totalen, mens sakene mot telekom- og finansselskaper samt Reddit viser at myndighetene undersøker både grunnleggende sikkerhet og om personopplysninger i det hele tatt brukes på lovlig vis.

For selskaper som driver virksomhet i Europa, er lærdommen klar: GDPR må inngå i den overordnede risikostyringen. Behandlingsgrunnlag, informasjonssikkerhet, barns personvern og overføring av data til tredjeland bør testes jevnlig – og støttes av dokumentasjon som tåler kontroll fra tilsynsmyndighetene.